Quante password usa in media un italiano?

La risposta varia significativamente: uno studio recente indica che un utente medio ne possiede circa 73, ma la quantità effettivamente utilizzata regolarmente si aggira tra le 10 e le 20. Vediamo insieme perché questo divario è così ampio e quali sono i rischi associati a una gestione poco attenta delle proprie credenziali.

L'esplosione del numero di password: un dato allarmante

Secondo una ricerca condotta da NordPass nel 2023, l'utente medio globale gestisce ben 73 password diverse. Questo dato è destinato a crescere, parallelamente alla proliferazione di servizi online che richiedono la creazione di un account. Il numero non sorprende se pensiamo a quante piattaforme utilizziamo quotidianamente: social network, email, banking online, e-commerce, servizi in abbonamento per lo streaming video o musicale, giochi online, forum... l'elenco è virtualmente infinito. La tendenza è chiara: più siamo connessi, più password dobbiamo gestire.

Perché così tante? Le cause della frammentazione

La ragione principale di questo elevato numero di password risiede nella convinzione (spesso corretta) che ogni account debba essere protetto con una chiave unica. L'idea è semplice: se un malintenzionato compromette una password, l’accesso a un solo servizio e non a tutti quelli collegati. Questo approccio, noto come "principio del minimo privilegio", mira a limitare i danni in caso di violazione della sicurezza. A questo si aggiunge la prassi, spesso imposta dai fornitori di servizi, di cambiare periodicamente le password per maggiore sicurezza. Questo incremento del numero delle password richieste da ogni servizio è un fattore determinante.

La normativa e il diritto all'oblio

Il Regolamento Generale sulla Protezione dei Dati (GDPR) – Articolo 5(1)(e) stabilisce che i dati personali devono essere trattati in modo sicuro, inclusi quelli relativi alle password. Questo implica l'obbligo per le aziende di implementare misure tecniche e organizzative adeguate a proteggere le credenziali degli utenti da accessi non autorizzati. Allo stesso tempo, il diritto all’oblio sancito dal GDPR (Articolo 17) concede agli utenti la possibilità di richiedere la cancellazione dei propri dati personali, compresi i dettagli dell'account e le password associate. Questo può implicare una nuova creazione di account e quindi una nuova password per i servizi utilizzati in precedenza.

L’uso reale vs. il numero teorico: un divario significativo

Anche se la teoria prevede 73 password diverse, la realtà è che molti utenti ne utilizzano solo una frazione. Questa discrepanza si spiega con la difficoltà pratica di ricordare e gestire un numero così elevato di credenziali. Di conseguenza, ricorriamo spesso a compromessi: password riutilizzate su più account, password semplici e facilmente indovinabili, o l'utilizzo dello stesso nome utente e password per diversi servizi.

La tentazione del "password ricordo"

L’uso di password uguali o derivate da informazioni personali (data di nascita, nome dell'animale domestico, ecc.) è una pratica estremamente pericolosa. Queste credenziali sono facilmente reperibili attraverso tecniche di “social engineering” o attacchi a database contenenti informazioni sensibili. Anche l’utilizzo di variazioni minime della stessa password su account diversi aumenta il rischio: se un sito viene compromesso, le password rubate possono essere utilizzate per accedere ad altri servizi protetti con credenziali simili.

I rischi di una gestione inadeguata delle password

La riutilizzazione delle password espone gli utenti a seri pericoli. Se un hacker riesce a ottenere l'accesso a un account, può utilizzare le stesse credenziali per accedere ad altri servizi, compromettendo dati personali e finanziari. Il furto di identità, la frode bancaria e il danneggiamento della reputazione sono solo alcune delle possibili conseguenze. Inoltre, la perdita del controllo degli account può portare alla diffusione di malware o alla compromissione dei dispositivi connessi.

Le minacce più comuni: phishing e credential stuffing

Il Regolamento NIS (Network and Information Security) – Direttiva 2016/1148/UE sottolinea l'importanza della sicurezza delle reti e dei sistemi informatici, anche per i fornitori di servizi digitali. Tuttavia, gli utenti rimangono un anello debole nella catena della sicurezza. Il “phishing”, ovvero la tecnica fraudolenta che mira a indurre gli utenti a rivelare informazioni personali attraverso comunicazioni ingannevoli, è una delle minacce più diffuse. Parallelamente, il "credential stuffing", l'utilizzo di combinazioni di username e password trapelate da violazioni precedenti per tentare di accedere ad altri servizi, rappresenta un rischio crescente.

Soluzioni pratiche: strumenti e buone abitudini

Fortunatamente, esistono diverse soluzioni per gestire in modo sicuro un numero elevato di password. I “password manager” sono software che generano, memorizzano e compilano automaticamente le credenziali per i diversi account online. Questi programmi utilizzano la crittografia avanzata per proteggere le informazioni sensibili. L’utilizzo di autenticazione a due fattori (2FA) aggiunge un ulteriore livello di sicurezza, richiedendo un codice univoco generato da un dispositivo mobile oltre alla password tradizionale.

L'autenticazione a due fattori: una barriera in più

L'autenticazione a due fattori è raccomandata dal Garante per la protezione dei dati personali come misura di sicurezza aggiuntiva. Anche se un malintenzionato riesce a ottenere la password, non potrà accedere all'account senza il codice generato dall’applicazione o ricevuto via SMS.